校園網網絡安全方案設計(已修改)
2025-06-19 02:12 本頁面
【正文】 、某校園網方案設計原則與需求1. 充分滿足現(xiàn)在以及未來35年內的網絡需求，既要保證校園網能很好的為學校服務，又要保護學校的投資。2. 強大的安全管理措施，四分建設、六分管理，管理維護的好壞是校園網正常運行的關鍵3. 在滿足學校的需求的前提下，建出自己的特色網絡的穩(wěn)定性要求l 整個網絡需要具有高度的穩(wěn)定性，能夠滿足不同用戶對網絡訪問的不同要求網絡高性能需求l 整個網絡系統(tǒng)需要具有很高的性能，能夠滿足各種流媒體的無障礙傳輸，保證校園網各種應用的暢通無阻l 認證計費效率高，對用戶的認證和計費不會對網絡性能造成瓶頸網絡安全需求l 防止IP地址沖突l 非法站點訪問過濾l 非法言論的準確追蹤l 惡意攻擊的實時處理l 記錄訪問日志提供完整審計網絡管理需求l 需要方便的進行用戶管理，包括開戶、銷戶、資料修改和查詢l 需要能夠對網絡設備進行集中的統(tǒng)一管理l 需要對網絡故障進行快速高效的處理第二章、某校園網方案設計整個網絡采用二級的網絡架構：核心、接入。核心采用一臺RG－S4909，負責整個校園網的數(shù)據(jù)轉發(fā)，同時為接入交換機S1926F+、內部服務器提供百兆接口。網絡出口采用RGWALL1200防火墻。原有網絡設備功能較少，無法進行安全防護，已經不能滿足應用的需求。方案一：不更換核心設備核心仍然采用銳捷網絡S4909交換機，在中校區(qū)增加一臺SAM服務器，部署SAM系統(tǒng)，同時東校區(qū)和西校區(qū)各用3臺S2126G替換原有S1926F+,其中匯聚交換機各采用一臺新增的S2126G，剩余的兩臺S2126G用于加強對關鍵機器的保護，中校區(qū)的網絡結構也做相應的調整，采用現(xiàn)有的兩臺S2126G做為匯聚設備，其它交換機分別接入這兩臺交換機，從而實現(xiàn)所有匯聚層交換機都能進行安全控制，重點區(qū)域在接入層進行安全控制的網絡布局。方案二：更換核心設備核心采用一臺銳捷網絡面向10萬兆平臺設計的多業(yè)務IPV6路由交換機RGS8606，負責整個校園網的數(shù)據(jù)轉發(fā)。在中校區(qū)增加一臺SAM服務器，部署SAM系統(tǒng)，同時東校區(qū)和西校區(qū)各用3臺S2126G替換原有S1926F+。將原有的S4909放到東校區(qū)做為匯聚設備，下接三臺S2126G實現(xiàn)安全控制，其它二層交換機分別接入相應的S2126G。西校區(qū)匯聚采用一臺S2126G，剩余兩臺S2126G用于保護重點機器，其它交換機接入對應的S2126G。中校區(qū)的網絡結構也做相應的調整，采用現(xiàn)有的兩臺S2126G做為匯聚設備，其它交換機分別接入這兩臺交換機，從而實現(xiàn)所有匯聚層交換機都能進行安全控制，重點區(qū)域在接入層進行安全控制的網絡布局。骨干網絡由RGS8606構成，核心交換機RGS8606主要具有5特性：骨干網帶寬設計：千兆骨干，可平滑升級到萬兆整個骨干網采用千兆雙規(guī)線路的設計，二條線路通過VRRP冗余路由協(xié)議和OSPF動態(tài)路由協(xié)議實現(xiàn)負載分擔和冗余備份，以后，隨著網絡流量的增加，可以將鏈路升級到萬兆。骨干設備的安全設計：CSS安全體系架構CSS之硬件CPPCPP即CPU Protect Policy，RGS8606采用硬件來實現(xiàn)，CPP提供管理模塊和線卡CPU的保護功能，對發(fā)往CPU的數(shù)據(jù)流進行帶寬限制（總帶寬、QOS隊列帶寬、類型報文帶寬），這樣，對于ARP攻擊的數(shù)據(jù)流、針對CPU的網絡攻擊和病毒數(shù)據(jù)流，RGS8606分配給其的帶寬非常的有限，不會影響其正常工作。由于銳捷10萬兆產品RGS8606采用硬件的方式實現(xiàn)，不影響整機的運行效率CSS之SPOH技術現(xiàn)在的網絡需要更安全、需要為不同的業(yè)務提供不同的處理優(yōu)先級，這樣，大量的ACL和QOS需要部署，需要核心交換機來處理，而這些應用屬于對交換機硬件資源消耗非常大的，核心交換機RGS8606通過在交換機的每一個用戶端口上增加一個FFP(快速過濾處理器)，專門用來處理ACL和QOS，相當于把交換機的每一個端口都變成了一臺獨立的交換機，可以保證在非常復雜的網絡環(huán)境中核心交換機的高性能。骨干設備的穩(wěn)定性設計：三平面分離技術數(shù)據(jù)平面、管理平面、控制平面分離的設計思想交換機中的數(shù)據(jù)類型可以分為三
公司管理相關推薦
鄂ICP備17016276號-1